如何查看和分析IIS日志
日志的在IIS中是很重要的,但是很多人却忽略了,在这里说说,日志格式建议使用W3C扩充日志文件格式,这也是IIS 5.0默认的格式,可以指定每天记录客户IP地址、用户名、服务器端口、方法、URI资源、URI查询、协议状态、用户代理,每天要审查日志。如图1所示。
![](//img-blog.csdn.net/20140327165313265?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvbW9xaWFuZzAy/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast)
![](//img-blog.csdn.net/20140327165327109?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvbW9xaWFuZzAy/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/SouthEast)
![](http://p.blog.csdn.net/images/p_blog_csdn_net/lastBeachhead/EntryImages/20081215/3.gif)
![](http://p.blog.csdn.net/images/p_blog_csdn_net/lastBeachhead/EntryImages/20081215/4.gif)
![](http://p.blog.csdn.net/images/p_blog_csdn_net/lastBeachhead/EntryImages/20081215/5.gif)
IIS 5.0的WWW日志文件默认位置为%systemroot%/system32/logfiles/w3svc1/,对于绝大多数系统而言(如果安装系统时定义了系统存放目录则根据实际情况修改)则是C:/winnt/system32/logfiles/w3svcl/,默认每天一个日志。建议不要使用默认的目录,更换一个记录日志的路径,同时设置日志访问权限,只允许管理员和SYSTEM为完全控制的权限,如图2所示。
日志文件的名称格式是:ex+年份的末两位数字+月份+日期,如2002年8月10日的WWW日志文件是ex020810.log。IIS的日志文件都是文本文件,可以使用任何编辑器打开,例如记事本程序。下面列举说明日志文件的部分内容。每个日志文件都有如下的头4行:
![](http://p.blog.csdn.net/images/p_blog_csdn_net/lastBeachhead/EntryImages/20081215/3.gif)
上面各行分别清楚地记下了远程客户端的IP地址、连接时间、端口、请求动作、返回结果(用数字表示,如页面不存在则以404返回)、所使用的浏览器类型等信息。
IIS的FTP日志文件默认位置为%systemroot%/system32/logfiles/MSFTPSVC1/,对于绝大多数系统而言(如果安装系统时定义了系统存放目录则根据实际情况修改)则是C:/winnt/system32/logfiles/ MSFTPSVC1/,和IIS的WWW日志一样,也是默认每天一个日志。日志文件的名称格式是:ex+年份的末两位数字+月份+日期,如2002年8月10日的WWW日志文件是ex020810.log。它也是文本文件,同样可以使用任何编辑器打开,例如记事本程序。和IIS的WWW日志相比,IIS的FTP日志文件要丰富得多。下面列举日志文件的部分内容。
![](http://p.blog.csdn.net/images/p_blog_csdn_net/lastBeachhead/EntryImages/20081215/4.gif)
有经验的用户可以通过这段FTP日志文件的内容看出,来自IP地址210.12.195.2的远程客户从2002年7月24日3:15开始试图登录此服务器,先后换了4次用户名和口令才成功,最终以administrator的账户成功登录。这时候就应该提高警惕,因为administrator账户极有可能泄密了,为了安全考虑,应该给此账户更换密码或者重新命名此账户。
如何辨别服务器是否有人曾经利用过UNICODE漏洞入侵过呢?可以在日志里看到类似如下的记录:
![](http://p.blog.csdn.net/images/p_blog_csdn_net/lastBeachhead/EntryImages/20081215/5.gif)
如果入侵者技术比较高明,会删除IIS日志文件以抹去痕迹,这时可以到事件查看器看来自W3SVC的警告信息,往往能找到一些线索。